NPA: Signaturfunktion

Signatrufunktion des künftigen Personalausweises

Einleitung

Der neue Personalausweis enthält die Möglichkeit, ihn für eine qualifizierte elektronische Signatur (QES) zu verwenden, wofür er vor der Schlüsselerzeugung und der Speicherung eines Zertifikats eines entsprechenden Diensteanbieters (ZDA) dafür vorbereitet werden muss: es muss die sogenannte eSign-PIN gesetzt werden. Dies soll medienbruchfrei geschehen, also komplett online über einen PC möglich sein. Im Security Workshop sollten die rechtlichen und technischen Grundlagen bzw. Richtlinien hierfür betrachtet werden und im Rahmen des Anwendungstests der Vorgang des Aktivierens der Signaturfunktion ausprobiert werden.

Rechtliche Grundlagen

Als rechtliche Grundlagen sind vor allem das Signaturgesetz, die Signaturverordnung und das Personalausweisgesetz ausschlaggebend.

Das Signaturgesetz legt unter anderem fest, was unter qualifizierten elektronischen Signaturen zu verstehen ist, nämlich:

• Daten in elektronischer Form, die mit anderen elektronischen Daten so verknüpft sind, dass eine nachträgliche Änderung der Daten erkannt werden kann,
• die ausschließlich dem Signaturschlüsselinhaber zugeordnet sind und
• die Identifizierung desselben ermöglichen,
• die mit Mitteln erzeugt werden, die der Signaturschlüsselinhaber unter seiner alleinigen Kontrolle halten kann und
• auf einem zum Zeitpunkt ihrer Erzeugung gültigen qualifizierten Zertifikat beruhen,
• und mit einer sicheren Signaturerstellungseinheit (SSEE) erzeugt werden.
  

nach § 2 SigG

Der neue Personalausweis muss für eine QES also einen Signaturschlüssel gespeichert haben, als auch ein Zertifikat besitzen. Dieses wird von ZDAs angeboten, die eine entsprechende Möglichkeit für den nPA bereitstellen müssen. So muss ein ZDA nach § 5 des SigG Personen, die ein Zertifikat beantragen, zuverlässig zu identifizieren, und die Zuordnung eines Signaturprüfschlüssels zu einer identifizierten Person durch ein qualifiziertes Zertifikat zu bestätigen.
Da das Signaturgesetz nur einen rechtlichen Rahmen für Signaturen allgemein bereitstellt, fehlen Angaben über das genaue Wie der einzelnen Vorgänge. So heißt es bspw. in Satz 4 von § 5 des Signaturgesetzes:
"Der Zertifizierungsdiensteanbieter hat Vorkehrungen zu treffen, damit Daten für qualifizierte Zertifikate nicht unbemerkt gefälscht oder verfälscht werden können. Er hat weiter Vorkehrungen zu treffen, um die Geheimhaltung der Signaturschlüssel zu gewährleisten. Eine Speicherung von Signaturschlüsseln außerhalb der sicheren Signaturerstellungseinheit ist unzulässig."

noch in Bearb...